AI Act UE: co naprawdę obowiązuje Twoje narzędzia AI od 2 sierpnia 2026 roku

2 sierpnia 2026 roku był wielkim terminem AI Act. Właśnie minął, a od tego czasu krążą dwie sprzeczne narracje, obie błędne. Pierwsza mówi, że AI Act został przesunięty i nie trzeba nic robić. Druga zapowiada lawinę obowiązków dla każdej firmy, która ma cokolwiek wspólnego z AI. Rzeczywistość sprowadza się do jednego rozróżnienia: to, co przesunięto, dotyczy systemów wysokiego ryzyka; to, co obowiązuje, dotyczy wszystkich.

Ten artykuł wyjaśnia, czego europejskie rozporządzenie o AI naprawdę wymaga od profesjonalisty korzystającego na co dzień z narzędzi AI, na przykładzie dyktowania głosowego. A przede wszystkim, czego wcale nie rozstrzyga, wbrew powszechnemu przekonaniu.

Jedno rozporządzenie, obowiązujące we wszystkich 27 państwach członkowskich

Pierwsze nieporozumienie do wyjaśnienia: AI Act nie jest prawem krajowym. To rozporządzenie (UE) 2024/1689, które weszło w życie 1 sierpnia 2024 roku. Wynikają z tego dwie praktyczne konsekwencje:

• To rozporządzenie, a nie dyrektywa. Obowiązuje bezpośrednio we wszystkich 27 państwach członkowskich, bez ustawy implementującej. Nie istnieje więc żadna krajowa wersja AI Act: tekst jest identyczny w każdym państwie członkowskim. Każdy kraj jedynie wyznacza swoje organy nadzorcze i ustala system kar, w granicach wyznaczonych przez rozporządzenie.
• Jego zasięg jest eksterytorialny. Artykuł 2 obejmuje dostawców wprowadzających system AI do obrotu na rynku Unii niezależnie od miejsca ich siedziby, a także dostawców i podmioty stosujące z siedzibą w państwie trzecim, jeśli wynik działania systemu jest wykorzystywany w Unii. Dostawca z siedzibą poza Unią, który oferuje swoje narzędzie w Europie, podlega więc rozporządzeniu.

Warto też zauważyć: ustęp 10 tego samego artykułu wyłącza z obowiązków podmiotów stosujących osoby fizyczne korzystające z systemu AI w ramach czysto osobistej, niezawodowej działalności. Podyktowanie listy zakupów nie rodzi żadnych zobowiązań. Podyktowanie notatek dotyczących klienta już tak.

Prawdziwy harmonogram, po pakiecie digital omnibus

8 lipca 2026 roku Unia przyjęła rozporządzenie (UE) 2026/1744, znane jako digital omnibus dotyczący AI, opublikowane w Dzienniku Urzędowym Unii Europejskiej 24 lipca 2026 roku i obowiązujące od 27 lipca. To właśnie ono przerysowało harmonogram i to stąd wzięła się plotka o całkowitym przesunięciu. Oto co zmienia, a czego nie.

• 2 lutego 2025 roku: zaczęły obowiązywać zakazane praktyki z artykułu 5 oraz obowiązek kompetencji w zakresie AI z artykułu 4. Bez zmian.
• 2 sierpnia 2025 roku: obowiązki dotyczące modeli AI ogólnego przeznaczenia, zarządzania, a przede wszystkim wejście w życie systemu kar. Bez zmian.
• 2 sierpnia 2026 roku: ogólne stosowanie rozporządzenia oraz obowiązki przejrzystości z artykułu 50. Bez zmian.
• 2 grudnia 2026 roku: dwie nowe zakazane praktyki dodane do artykułu 5, obejmujące systemy generujące realistyczne treści intymne przedstawiające możliwą do zidentyfikowania osobę bez jej zgody oraz systemy generujące materiały przedstawiające seksualne wykorzystywanie dzieci. Tego samego dnia kończy się czteromiesięczny okres przejściowy przyznany dostawcom systemów AI generatywnej już obecnych na rynku 2 sierpnia 2026 roku na dostosowanie się do wymogu oznaczania treści.
• 2 grudnia 2027 roku: obowiązki dla systemów wysokiego ryzyka z załącznika III (zatrudnienie, edukacja, usługi podstawowe, wymiar sprawiedliwości, migracja, biometria). Przesunięte z 2 sierpnia 2026 roku.
• 2 sierpnia 2028 roku: obowiązki dla systemów wysokiego ryzyka z załącznika I, czyli tych wbudowanych w produkty już regulowane. Przesunięte z 2 sierpnia 2027 roku.

Liczby, żeby zobrazować stawkę: do 35 milionów euro lub 7% całkowitego rocznego światowego obrotu za zakazaną praktykę, i do 15 milionów lub 3% za naruszenie obowiązków dostawców lub podmiotów stosujących, lub zasad przejrzystości z artykułu 50, w zależności od tego, która wartość jest wyższa. Jeden niuans ważny dla MŚP lub startupu: artykuł 99 ust. 6 przewiduje, że w ich przypadku zastosowanie ma niższa z dwóch wartości, nie wyższa.

Cztery poziomy ryzyka i gdzie plasuje się narzędzie do dyktowania

AI Act nie reguluje AI w sposób blokowy: dzieli systemy według poziomu ryzyka i uzależnia od tej klasyfikacji obowiązki. Cztery poziomy, od najbardziej ograniczonego do najlżejszego: ryzyko niedopuszczalne (zakazane), wysokie ryzyko (mocno regulowane), szczególne ryzyko związane z przejrzystością (obowiązek ujawnienia), ryzyko minimalne (brak szczególnych obowiązków).

Punkt, który prawie każdy pomija: to zamierzony cel systemu decyduje o jego poziomie, nie technologia, która za nim stoi. Ten sam element rozpoznawania mowy może być ryzykiem minimalnym albo wysokim, zależnie od tego, do czego jest przeznaczony.

• Narzędzie przeznaczone do zamiany mowy na tekst nie mieści się w żadnym z ośmiu obszarów załącznika III. To ryzyko minimalne.
• Ten sam silnik mowy przeznaczony do oceny kandydatów na rozmowie kwalifikacyjnej mieściłby się w punkcie 4 załącznika III (zatrudnienie i zarządzanie pracownikami): wysokie ryzyko.
• Ten sam silnik mowy przeznaczony do rozpoznawania emocji mieściłby się w punkcie 1 załącznika III (biometria): wysokie ryzyko, tam gdzie nie jest wprost zakazany.

Innymi słowy, pytanie do dostawcy nie brzmi „czy wasze narzędzie wykorzystuje AI?”, ale „do czego przeznaczony jest wasz system i na jakim poziomie ryzyka go umieszczacie?”. Odpowiedź powinna być umotywowana, nie dekoracyjna.

Prawdziwa pułapka dla narzędzi głosowych: wnioskowanie o emocjach

Dla narzędzia, które słucha ludzi mówiących, przepis wart największej uwagi to nie rozdział o wysokim ryzyku, lecz artykuł 5. Jego ustęp 1, punkt (f), zakazuje systemów AI wykorzystywanych do wnioskowania o emocjach osoby fizycznej w obszarze miejsca pracy i placówek edukacyjnych, z wyjątkiem sytuacji, gdy użycie ma cele medyczne lub bezpieczeństwa.

To nie przyszły obowiązek: to zakaz obowiązujący od 2 lutego 2025 roku, w najbardziej dotkliwie karanej kategorii rozporządzenia. I nie dotyczy tylko dostawcy: firma, która wdraża takie narzędzie wśród swoich pracowników, jest nim bezpośrednio objęta.

Granica, której trzeba się trzymać, jest jasna: transkrybowanie to nie wnioskowanie. Narzędzie do dyktowania zamienia to, co mówisz, w tekst, nie analizuje Twojego stanu emocjonalnego. Ostrożność jest jednak wskazana wobec funkcji reklamowanych przez niektóre narzędzia do spotkań: analiza nastroju uczestników, ocena zaangażowania, wykrywanie stresu lub tonu głosu. W kontekście miejsca pracy te obietnice marketingowe mogą wpaść w strefę zakazaną.

Czy trzeba znakować wodnym znakiem tekst wytworzony z AI?

To najczęstsze nieporozumienie od 2 sierpnia 2026 roku. Artykuł 50 ust. 2 wymaga od dostawców systemów AI generujących syntetyczne treści audio, obraz, wideo lub tekst oznaczania tych wyników w formacie czytelnym maszynowo. Wiele osób wyciąga z tego wniosek, że każdy tekst napisany z pomocą AI musi teraz nosić oznaczenie.

To nieprawda, i samo rozporządzenie tak stwierdza. Ten sam ustęp precyzuje: „Obowiązek ten nie ma zastosowania w zakresie, w jakim systemy AI pełnią funkcję pomocniczą przy standardowej edycji lub nie zmieniają w istotny sposób danych wejściowych dostarczonych przez podmiot stosujący ani ich znaczenia”.

Narzędzie do dyktowania głosowego mieści się dokładnie w tym wyłączeniu. Transkrybuje Twoje słowa, a następnie poprawia interpunkcję, gramatykę i wahania. Nie tworzy treści w Twoim imieniu i nie zmienia znaczenia tego, co powiedziałeś: formatuje dane wejściowe, które sam dostarczyłeś. Tekst pozostaje Twój. Różnica względem narzędzia, które tworzy artykuł na podstawie trzylinijkowego polecenia, jest różnicą natury, nie stopnia.

Dwa zastrzeżenia warte jednak poznania:

• Artykuł 50 ust. 1. Systemy przeznaczone do bezpośredniej interakcji z osobami fizycznymi muszą informować je, że mają do czynienia z AI. Dotyczy to agentów konwersacyjnych, nie narzędzia do dyktowania, które z nikim nie prowadzi dialogu.
• Artykuł 50 ust. 4. Tekst wygenerowany lub zmodyfikowany przez AI i opublikowany w celu informowania opinii publicznej o sprawach leżących w interesie publicznym musi nosić oznaczenie. Ważne wyłączenie: gdy treść przeszła przegląd redakcyjny przeprowadzony przez człowieka, a osoba fizyczna lub prawna ponosi odpowiedzialność redakcyjną. Dziennikarz, który dyktuje artykuł, a następnie go przegląda, pozostaje w ramach tego wyłączenia.

Czego AI Act wymaga od użytkownika zawodowego

Rozporządzenie rozróżnia dwie główne role. Dostawca tworzy system i wprowadza go do obrotu. Podmiot stosujący używa go na własną odpowiedzialność, w ramach działalności zawodowej. Jeśli wyposażasz swoje zespoły w narzędzie AI lub sam korzystasz z niego w pracy, jesteś podmiotem stosującym. W praktyce dotyczą Cię trzy rzeczy.

1. Kompetencje w zakresie AI (artykuł 4), złagodzone przez omnibus. Pierwotny tekst wymagał od dostawców i podmiotów stosujących zapewnienia „wystarczającego poziomu” kompetencji w zakresie AI wśród personelu. Rozporządzenie (UE) 2026/1744 zastąpiło to zauważalnie lżejszą formułą: dostawcy i podmioty stosujące „podejmują środki wspierające rozwój kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się obsługą i wykorzystaniem systemów AI w ich imieniu”, a znowelizowany artykuł dodaje, że obowiązek ten nie wymaga zagwarantowania jakiegokolwiek konkretnego poziomu kompetencji w zakresie AI dla żadnej osoby. To przejście od zobowiązania rezultatu do zobowiązania starannego działania. Warto zauważyć: artykuł 4 nie figuruje na liście naruszeń podlegających karom na mocy artykułu 99. Obowiązek istnieje, ale nie niesie ze sobą bezpośredniej kary na poziomie unijnym.

2. Zakazane praktyki (artykuł 5). Nie wolno Ci używać narzędzia, które mieści się na czarnej liście artykułu 5, w tym wnioskowania o emocjach w pracy, o którym mowa wyżej. To jedyne naprawdę poważne ograniczenie dla zwykłego użytkownika, i już obowiązuje.

3. Obowiązki podmiotu stosującego dla systemów wysokiego ryzyka (artykuł 26). Są znaczące: nadzór ludzki, przechowywanie dzienników zdarzeń, informowanie zainteresowanych pracowników. Ale zaczynają obowiązywać dopiero, gdy faktycznie wdrażasz system sklasyfikowany jako wysokiego ryzyka, i nie wcześniej niż od 2 grudnia 2027 roku dla załącznika III.

Kluczowy punkt: AI Act nic nie mówi o suwerenności

To najkosztowniejsze nieporozumienie, ponieważ tworzy fałszywe poczucie bezpieczeństwa. AI Act reguluje wprowadzanie do obrotu i wykorzystanie systemów AI: co wolno im robić, jak muszą być udokumentowane, co muszą ujawniać. Nie zawiera żadnego wymogu lokalizacji danych.

Nigdzie rozporządzenie nie wymaga, by Twoje dane audio, tekst czy dokumenty były przetwarzane w Europie. Nigdzie nie neutralizuje amerykańskiego Cloud Act. Narzędzie może być nienaganne pod względem AI Act i wciąż kierować każdą Twoją dyktowaną treść na serwery obsługiwane przez firmę podlegającą prawu amerykańskiemu, a więc możliwą do zobowiązania nakazem amerykańskim.

Te kwestie reguluje RODO, i wyłącznie RODO: zgodność z prawem przetwarzania, okresy przechowywania, podmioty przetwarzające i zasady transferów poza Unię Europejską na mocy jego rozdziału V. Sam AI Act to potwierdza, w artykule 2 ust. 7: prawo unijne dotyczące ochrony danych osobowych nadal ma zastosowanie do danych osobowych przetwarzanych w kontekście rozporządzenia. Oba teksty się nakładają, jeden nie zastępuje drugiego.

To drugie pytanie, w praktyce znacznie bardziej decydujące, rozwijamy w naszym dedykowanym przewodniku: dyktowanie głosowe a RODO, dokąd trafia Twój głos. Wyjaśnia on, dlaczego lokalizacja serwera nie wystarczy, ile naprawdę jest wart Data Privacy Framework i dlaczego jurysdykcja, której podlega dostawca, liczy się bardziej niż adres jego centrów danych. Dla zawodów związanych tajemnicą, obowiązujące ramy opisujemy na naszej stronie o tajemnicy adwokackiej.

6 pytań do zadania każdemu dostawcy AI

Prosty sposób na podjęcie decyzji, łączący oba rozporządzenia. Pierwsze pytania pochodzą z AI Act, ostatnie z RODO, i to często one robią różnicę.

1. Jaki jest deklarowany zamierzony cel waszego systemu i na jakim poziomie ryzyka go umieszczacie? Oczekuj odpowiedzi umotywowanej w oparciu o załącznik III, nie gołego „jesteśmy zgodni”.
2. Czy wasze narzędzie wnioskuje o emocjach lub kategoryzuje ludzi na podstawie głosu? W miejscu pracy prawidłowa odpowiedź brzmi nie, bez dwuznaczności.
3. Czy wasze wyniki podlegają obowiązkowi oznaczania z artykułu 50 ust. 2, czy wyłączeniu dla edycji pomocniczej? Poważny dostawca wie, gdzie się plasuje i dlaczego.
4. Jakich modeli AI używacie, gdzie są uruchamiane i od jakich dostawców? To jedyny sposób, by wiedzieć, kto naprawdę obsługuje Twoje dane na końcu łańcucha. Dostawca korzystający z API strony trzeciej wystawia Cię na tę stronę trzecią, niezależnie od tego, co jeszcze mówi.
5. Czy moje dane są wykorzystywane do trenowania waszych modeli i jak długo są przechowywane? Prawidłowe odpowiedzi: nie, oraz zerowa retencja.
6. Gdzie są przetwarzane moje dane, przez jaką firmę i pod jaką jurysdykcją? Szukaj przetwarzania w Unii przez europejską firmę, nie tylko „centrum danych w Europie”.

Gdzie plasuje się Fast Dictate

Fast Dictate to europejskie narzędzie do dyktowania głosowego. Oto nasze odpowiedzi na sześć powyższych pytań, po kolei:

• Zamierzony cel i klasyfikacja: zamiana mowy na tekst i wstawienie go do wybranej przez Ciebie aplikacji. Żaden z ośmiu obszarów załącznika III nie ma zastosowania: ryzyko minimalne.
• Emocje: nie. Fast Dictate transkrybuje to, co mówisz, i formatuje tekst. Nie wykonuje rozpoznawania mówcy, analizy nastroju ani kategoryzacji biometrycznej.
• Oznaczanie treści: narzędzie transkrybuje Twoje własne słowa i poprawia interpunkcję oraz gramatykę, nie zmieniając w istotny sposób danych wejściowych ani ich znaczenia. To dokładnie wyłączenie przewidziane w artykule 50 ust. 2.
• Modele i miejsce ich działania: w planie Pro transkrypcja (Whisper Large V3) i przetwarzanie językowe końcowe (GPT-OSS-120B) działają na serwerach zlokalizowanych we Francji. Żadne wywołanie API AI poza Francją nie przetwarza treści Twoich dyktowań, ani OpenAI, ani Anthropic, ani Google, ani AWS, ani Azure.
• Zero przechowywania danych w każdym planie. Twój dźwięk jest przetwarzany w pamięci przez czas potrzebny do transkrypcji, a następnie natychmiast usuwany, i nigdy nie jest ponownie wykorzystywany do trenowania modelu.
• Plan Pro: przetwarzanie wyłącznie we Francji, na infrastrukturze certyfikowanej ISO/IEC 27001:2022, poza zasięgiem amerykańskiego Cloud Act, z zaawansowaną umową powierzenia przetwarzania danych zgodną z RODO, dostępną na żądanie. Plany Free i Standard działają na szybkiej infrastrukturze międzynarodowej, wciąż przy zerowym przechowywaniu danych.

Poza tym Fast Dictate działa wszędzie: Word, Gmail, Notion, przeglądarka, dowolne pole tekstowe, za pomocą jednego skrótu na Windows i Mac. Plan bezpłatny daje 2000 słów tygodniowo, bez karty kredytowej.

Ten artykuł ma charakter informacyjny i nie stanowi porady prawnej. Klasyfikacja systemu AI zależy od jego zamierzonego celu i faktycznego wykorzystania: w razie wątpliwości co do własnej sytuacji, zasięgnij porady specjalisty. Oficjalne źródła są dostępne na EUR-Lex oraz na stronie Komisji Europejskiej poświęconej AI Act. Artykuł aktualny na dzień 15 sierpnia 2026 roku.

Najczęściej zadawane pytania